基于行为识别技术的网络防御系统研究与实现

论文摘要

随着网络的应用和普及,病毒、木马等恶意程序造成的危害也不断升级,如“灰鸽子”病毒仅在2007年2月份就感染了约30万台计算机,造成的经济损失上千万元,“熊猫烧香”病毒造成的直接经济损失超过亿元,这些说明现有的基于包过滤技术的网络防御系统在面对新的病毒时有一定的滞后性,不能及时发现和清除新的病毒,因此,研究基于行为识别技术的网络安全防御系统是非常必要和有实用价值的,同时业界也预言,网络安全技术的发展趋势就是行为识别技术。本课题根据目前网络安全防御行业的现状及发展趋势,提出一种新型的网络防御系统方案,该方案通过对病毒行为特征分析,提取出病毒行为规则,以此为基础,构建系统识别模型。系统在实际工作中主要就文件的静态特征和动态行为进行识别,确定是否病毒程序。该系统可以识别未知的病毒,实现“零日”防御,它具有强的识别力和防御能力,确保用户系统安全,保证敏感信息如银行帐号、QQ和MSN密码安全,因此具有很大的实用性。论文首先介绍了系统的整体设计方案,接着介绍了病毒程序的行为识别技术,然后介绍了系统的实际工作原理,最后介绍了系统中关键模块的实现,并在实际工作环境中对系统进行了测试。经过实验测试,系统运行良好,具有良好的实用和推广价值,可以应用于公安、银行、证券等安全要求较高的领域。

论文目录

• 摘要
• Abstract
• 第1章 前言
• 1.1 研究背景
• 1.2 项目来源
• 1.3 国内外研究概况、发展动态
• 1.4 论文的研究内容
• 1.5 论文结构及章节安排
• 1.6 本章小结
• 第2章 网络防御系统的设计
• 2.1 XX公安网络防御系统的需求分析
• 2.1.1 功能要求
• 2.1.2 性能要求
• 2.2 系统的功能及架构
• 2.2.1 功能
• 2.2.2 架构
• 2.3 各模块功能描述
• 2.3.1 核心模块的功能
• 2.3.2 辅助模块的功能
• 2.4 本章小结
• 第3章 病毒行为识别技术研究
• 3.1 信息-知识-智能统一理论
• 3.2 病毒行为分析
• 3.2.1 病毒的定义及分类
• 3.2.2 病毒的行为特点分析
• 3.3 行为特征提取
• 3.3.1 二进制病毒的行为特征提取
• 3.3.2 脚本病毒的行为特征提取
• 3.3.3 宏病毒特征提取
• 3.3.4 木马型病毒特征提取
• 3.4 数据挖掘
• 3.4.1 数据挖掘的方法
• 3.4.2 基本算法
• 3.5 规则生成
• 3.6 本章小结
• 第4章 系统工作原理
• 4.1 框架原理
• 4.2 静态识别原理
• 4.2.1 流程图
• 4.2.2 文件加壳
• 4.2.3 恶意函数
• 4.2.4 恶意代码分析
• 4.2.5 恶意代码检测
• 4.3 动态识别原理
• 4.3.1 流程图
• 4.3.2 恶意行为
• 4.4 本章小结
• 第5章 关键模块的实现
• 5.1 远程溢出防护模块的实现
• 5.1.1 实现过程
• 5.1.2 流程图
• 5.1.3 TDI拦截
• 5.2 ARP欺骗防护模块的实现
• 5.2.1 实现过程
• 5.2.2 ARP数据包
• 5.2.3 实现流程
• 5.3 注册表防护模块的实现
• 5.3.1 实现过程
• 5.3.2 注册表的相关结构
• 5.4 文件防护模块的实现
• 5.4.1 实现过程
• 5.4.2 EXE文件结构
• 5.5 堆栈溢出防护模块的实现
• 5.6 进程分析模块的实现
• 5.7 本章小结
• 第6章 系统测试
• 6.1 测试环境
• 6.2 安全防护模块的测试
• 6.3 安全诊断模块的测试
• 6.4 安全监控模块的测试
• 6.5 本章小结
• 第7章 总结与展望
• 7.1 研究工作总结
• 7.2 进一步展望
• 致谢
• 参考文献
• 个人简历 攻读硕士学位期间发表的论文